Nr. 34156 

30 juni 
2016 



STAATSCOURANT 

Officiële uitgave van het Koninkrijk der Nederlanden sinds 1814. 


Besluit van de Minister van Economische Zaken van 29 juni 2016, 
nr. WJZ / 16094083, tot tijdelijke aanwijzing van een toezichthoudend 
orgaan, een nationaal orgaan voor informatieveiligheid en een 
gegevensbeschermingsautoriteit in de zin van verordening (EU) nr. 910/2014 
van het Europees Parlement en de Raad van 23 juli 2014 betreffende 
elektronische identificatie en vertrouwensdiensten voor elektronische 
transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG 
(PbEU 2014, L 257) 


Handelende mede namens de Minister van Veiligheid en Justitie, 

Gelet op: 

Artikel 4, derde lid, van het Verdrag betreffende de Europese Unie, de artikelen 17, eerste lid, 19, 
tweede lid, en 22, derde lid, van verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad 
van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische 
transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PbEU 2014, L 257), artikel 2, 
tweede lid, van de Instellingswet Autoriteit Consument en Markt, artikel 34a van de Wet bescherming 
persoonsgegevens en artikel 2, tweede lid, onderdeel t, van het Besluit elektronische handtekeningen; 

Besluit: 

Artikel 1 

In dit besluit wordt onder verordening verstaan: verordening (EU) nr. 910/2014 van het Europees 
Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten 
voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PbEU 
2014, L 257). 

Artikel 2 

1. De Autoriteit Consument en Markt, bedoeld in artikel 2, eerste lid, van de Instellingswet Autoriteit 
Consument en Markt, is voor Nederland: 

a. het toezichthoudende orgaan, bedoeld in artikel 17, eerste lid, van de verordening; 

b. het in artikel 22, derde lid, van de verordening bedoelde orgaan dat verantwoordelijk is voor 
het opstellen, onderhouden en publiceren van vertrouwenslijsten als bedoeld in dat artikel. 

2. De Minister van Veiligheid en Justitie is voor Nederland het nationale orgaan voor informatievei¬ 
ligheid, bedoeld in artikel 19, tweede lid, van de verordening. 

3. Het College bescherming persoonsgegevens, bedoeld in artikel 51, eerste lid, van de Wet 
bescherming persoonsgegevens, is voor Nederland de gegevensbeschermingsautoriteit, bedoeld 
in artikel 19, tweede lid, van de verordening. 

Artikel 3 

1. Dit besluit treedt in werking met ingang van 1 juli 2016. 

2. Indien het bij koninklijke boodschap van 17 februari 2016 ingediende voorstel van wet tot wijziging 
van de Telecommunicatiewet, de Boeken 3 en 6 van het Burgerlijk Wetboek, de Algemene wet 
bestuursrecht alsmede daarmee samenhangende wijzigingen van andere wetten in verband met 
de uitvoering van EU-verordening elektronische identiteiten en vertrouwensdiensten (uitvoering 
EU-verordening elektronische identiteiten en vertrouwensdiensten) (34 413) tot wet wordt 
verheven, vervalt dit besluit met ingang van de datum waarop de onderdelen H, I en L van artikel I 
van die wet in werking treden. 
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's-Gravenhage, 29 juni 2016 



De Minister van Economische Zaken, 

H.G.J. Kamp 

Tegen dit besluit kan degene wiens belang rechtstreeks bij dit besluit is betrokken binnen zes weken 
na de dag van dagtekening van deze Staatscourant een gemotiveerd bezwaarschrift indienen bij de 
Minister van Economische Zaken, directie Wetgeving en Juridische Zaken, Postbus 20401, 2500 EK 
's-Gravenhage 
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TOELICHTING 



1. Algemeen 

Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende 
elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt 
en tot intrekking van Richtlijn 1999/93/EG (PbEU 2014, L 257) (hierna: de verordening) regelt het 
grensoverschrijdend gebruik van elektronische identificatiemiddelen en vertrouwensdiensten tussen 
de lidstaten van de Europese Unie. Vertrouwensdiensten zijn samengevat elektronische handtekenin¬ 
gen, elektronische zegels, elektronische tijdstempels, diensten voor aangetekende elektronische 
bezorging en elektronische certificaten voor authenticatie van websites. De verordening is voor 
vertrouwensdiensten vanaf 1 juli 2016 met rechtstreekse werking van toepassing. Ten aanzien van 
vertrouwensdiensten stelt de verordening onder meer eisen aan vertrouwensdienstverleners en hun 
diensten en is toezicht op de naleving daarvan vereist. Ook dient een vertrouwenslijst te worden 
opgesteld. De verordening bepaalt dat lidstaten een toezichthoudend orgaan aanwijzen dat over de 
noodzakelijke bevoegdheden en toereikende middelen beschikt ter uitvoering van zijn in de verorde¬ 
ning omschreven toezichthoudende taken (artikel 17, eerste lid). Ook dienen de lidstaten voorschriften 
vast te stellen inzake de sancties die van toepassing zijn op inbreuken op de verordening (artikel 16). 
En lidstaten dienen aan de Europese Commissie het orgaan mede te delen dat de vertrouwenslijst 
opstelt, bijhoudt en publiceert (artikel 22, eerste lid, juncto derde lid). Tot uitvoering van de verorde¬ 
ning strekt het wetsvoorstel tot wijziging van de Telecommunicatiewet, de Boeken 3 en 6 van het 
Burgerlijk Wetboek, de Algemene wet bestuursrecht alsmede daarmee samenhangende wijzigingen 
van andere wetten in verband met de uitvoering van EU-verordening elektronische identiteiten en 
vertrouwensdiensten (uitvoering EU-verordening elektronische identiteiten en vertrouwensdiensten) 
(34 413). Dit wetsvoorstel zal zeer waarschijnlijk niet tijdig, dat wil zeggen voor of op 1 juli 2016, tot 
wet worden verheven en in werking treden. 

Nederland is op grond van het in het in artikel 4, derde lid, van het Verdrag betreffende de Europese 
Unie, vastgelegde beginsel van loyale samenwerking verplicht de nakoming van verplichtingen die 
voortkomen uit bindende handelingen, zoals een verordening, te verzekeren. Het beginsel van loyale 
samenwerking richt zich tot alle organen van een betrokken lidstaat, en daarmee ook tot de voor 
vertrouwensdiensten beleidsverantwoordelijke Minister van Economische Zaken. Om tijdig aan de 
verplichtingen uit de verordening te kunnen voldoen, bepaalt de Minister in dit besluit dat vanaf 1 juli 
2016 tot het tijdstip waarop het wetsvoorstel tot uitvoering van de verordening tot wet is verheven en 
in werking is getreden de Autoriteit Consument en Markt (hierna verder: ACM) voor Nederland het 
toezichthoudend orgaan in de zin van de verordening is. Tevens bepaalt het besluit dat de verantwoor¬ 
delijkheid voor een vertrouwenslijst bij ACM berust. Deze keuze sluit aan bij de huidige in de Telecom¬ 
municatiewet geregelde situatie waarin ACM toezichthouder is op aanbieders van gekwalificeerde 
certificaten voor elektronische handtekeningen en de registratie daarvan bijhoudt. 

Voor de duur van de tijdelijke situatie waarin ACM toezichthoudend orgaan is, is tussen ACM en 
Agentschap Telecom (hierna verder: AT) afgesproken dat zij werkafspraken sluiten waarin AT gelet op 
aldaar beschikbare expertise ondersteuning biedt aan ACM bij de te verrichten werkzaamheden op het 
gebied van vertrouwensdiensten. In het wetsvoorstel wordt AT aangewezen als toezichthoudend 
orgaan in de zin van de verordening en worden daarin de noodzakelijke bevoegdheden toegewezen 
voor het uitvoeren van toezichthoudende taken. In de tijdelijke situatie berust het toezicht en bijbeho¬ 
rende besluitvorming bij ACM en in de definitieve situatie bij AT. 

Een specifieke situatie waarin de verordening voorziet, heeft betrekking op de verplichting in de 
verordening voor verleners van vertrouwensdiensten een veiligheidsinbreuk of integriteitsverlies met 
aanzienlijke gevolgen voor de verleende vertrouwensdienst of voor de persoonsgegevens die 
daarmee worden beheerd te melden niet enkel aan het toezichthoudend orgaan, maar waar passend 
ook aan andere relevante organen zoals het nationale orgaan voor informatieveiligheid of de 
gegevensbeschermingsautoriteit. In het besluit wordt de Minister van Veiligheid en Justitie als het 
nationale orgaan voor informatieveiligheid en het College bescherming persoonsgegevens (hierna 
verder: Cbp) als gegevensbeschermingsautoriteit aangewezen, zodat bij de toepassing van de 
verordening eenduidig is bepaald welke de organen hiervoor zijn. De aanwijzing van de Minister van 
Veiligheid en Justitie ziet op melding van incidenten bij het Nationaal Cyber Security Centrum (NCSC). 
Zodra het wetsvoorstel tot wet wordt verheven en in werking is getreden, vindt aanwijzing van de 
Minister van Veiligheid en Justitie respectievelijk het Cbp ten behoeve van de meldplicht op grond van 
die wet plaats. 
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2. Bevoegdheden 



Om als gekwalificeerde verlener van vertrouwensdiensten een gekwalificeerde vertrouwensdienst te 
mogen aanbieden, dient een daarvoor in de verordening opgenomen procedure te worden doorlopen 
bij het toezichthoudend orgaan. In de tijdelijke situatie is ACM dat toezichthoudend orgaan. De inhoud 
van die procedure is in de verordening vastgelegd en heeft daarmee rechtstreekse werking (artikel 21 
van de verordening). Eerst na het succesvol bij ACM doorlopen van de procedure voor het verkrijgen 
van de status gekwalificeerd en registratie op de vertrouwenslijst, is toezicht door ACM op deze 
geregistreerde vertrouwensdienstverleners en hun geregistreerde diensten aan de orde. Voor 
aanbieders van gekwalificeerde certificaten voor elektronische handtekeningen die onder de huidige 
Telecommunicatiewet door ACM op de vertrouwenslijst zijn geregistreerd, bevat de verordening 
overgangsrecht waarin deze aanbieders als gekwalificeerde vertrouwensdienstverleners worden 
aangemerkt. Zij hoeven niet eerst een procedure te doorlopen om de status gekwalificeerd te 
verkrijgen, zodat het toezicht van ACM zich vanaf 1 juli 2016 direct al tot deze bestaande gekwalifi¬ 
ceerde verleners en hun geregistreerde vertrouwensdiensten uitstrekt. ACM is als tijdelijk aangewezen 
toezichthoudend orgaan op grond van de verordening bevoegd bij niet-naleving van de verordening 
onder voorwaarden de status van gekwalificeerde of de status van de betrokken dienst als gekwalifi¬ 
ceerd in te trekken (artikel 20, derde lid, van de verordening). Andere bevoegdheden van ACM in het 
kader van het toezicht en handhaving op deze al geregistreerde aanbieders zijn in huidige wetgeving 
vastgelegd, waaronder in de Telecommunicatiewet. Handhaving zal zich vooral richten op herstel van 
naleving van voorschriften uit de verordening of in uiterste geval tot intrekking van de verleende 
status. Bij de toepassing van de huidige wet zal de volle werkzaamheid van de verordening gewaar¬ 
borgd dienen te worden totdat het wetsvoorstel tot wet is verheven en in werking is getreden. De 
huidige Telecommunicatiewet zal in het licht van de bewoordingen en het doel van de verordening 
dienen te worden uitgelegd, waarbij ACM toezichthoudend orgaan in de zin van de verordening is. 
Voor zover de huidige wetgeving aan de toepassing van de verordening in de weg zou staan, dient 
daaraan geen toepassing te worden gegeven. Jurisprudentie van het Europese Hof van Justitie 
bevestigt deze uitgangspunten (zie onder meer arrest HvJEU van 8 november 2005, Leffler, C-443/03, 
Jurispr. blz. 1-9611, overweging 51, maar bijvoorbeeld ook HvJEG van 16 december 1990, Humblet/ 
Belgische Staat, 6/60, Jurispr. blz. 1146 en arrest van 10 oktober 2013, zaak C-306/12 Spedition Welter 
GmbH/Avanssur SA, dictum 2, arrest van 16 juni 2005, zaak C-105/03 'Pupino', r.o. 43, en arrest van 
13 november 1990, zaak C-106/89 'Marleasing', r.o. 13 en arrrest van 13 maart 2008, Nationaal 
Overlegorgaan Sociale Werkvoorziening, zaak C-385/06). Voor niet-gekwalificeerde vertrouwensdien¬ 
sten vereist de verordening een beperkte, reactieve, vorm van toezicht. ACM zal als tijdelijk toezicht¬ 
houdend orgaan meldingen van aanbieders van (niet-)gekwalificeerde vertrouwensdiensten over 
veiligheidsinbreuken en integriteitsverlies met aanzienlijke gevolgen voor de vertrouwensdienst als 
bedoeld in de verordening in ontvangst moeten kunnen nemen. ACM kan op grond van de verorde¬ 
ning het publiek over een incident informeren, indien dit in het algemeen belang is (artikel 19, tweede 
lid). 

Bij een melding op grond van de verordening aan het Cbp als aangewezen gegevensbeschermingsau- 
toriteit, dient voor de duur dat dit besluit van toepassing is het bepaalde in artikel 34a, eerste lid, van 
de Wet bescherming persoonsgegevens omtrent het doen van een melding, en het toezicht daarop, te 
worden toegepast en uitgelegd met inachtneming van hetgeen in de verordening is bepaald ten 
aanzien van een melding aan de gegevensbeschermingsautoriteit. De werkzaamheid van de verorde¬ 
ning dient hierin gewaarborgd te blijven. 

De Minister van Economische Zaken, 

H.G.J. Kamp 
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